一
鎖住思考的去向：「保留思考」
新帳戶改唔到 Claude 之前的對話脈絡。即係搬運嗰招用唔到。受保護的思考段落，搬唔去第二個對話。
適用：Claude Fable 5.1、Opus 5.5；針對 2026 年 8 月 31 日或之後開的新 API 帳戶。
最強的 AI 模型，值錢的不是答案。是它諗嘢的過程。有人大規模偷走這些過程，去訓練平價對手。Anthropic 公布新防線，聲稱偷到的資料大減九成以上。
一句講晒：「蒸餾攻擊」即係有人扮成普通用戶，不停問 Claude 問題，偷走它的思考過程，再用來訓練自己的平價模型。
Anthropic 今次公布三道新防線。公司估計，攻擊者收割到的資料大減 90% 至 99%。文章還點名兩間中國實驗室：智譜（Zhipu／Z.ai）同 Moonshot。
但要留意：九成這個數字是 Anthropic 自己計的。暫時無獨立審計核實。
讀之前記住：本文數字全部來自 Anthropic 的公布同研究報告的整理。凡是「公司自述」同「有爭議」的說法，下文都會標明，不會扮成已證實的事實。
開大量帳戶。不停問問題。看似正常使用。
目標不是答案。是 Claude 逐步諗嘢的完整紀錄。
鎖住思考去向。分類器截查。封帳戶兼收費。
公司估計收割量大減 90–99%。但無人獨立核實過。
四格睇完，你已經明晒成件事的骨架。下面逐課慢慢拆。
考試入面，學霸最值錢的不是最後答案。是他張草稿紙。草稿紙寫滿每一步點諗。你抄到草稿，就學到他的諗法。
AI 世界一樣。一個模型回答問題之前，會先寫低一串推理。這串推理叫「思考過程」（reasoning transcript）。
「蒸餾」（distillation）本身是正經技術。用大模型的輸出，教細模型學嘢。但今次講的是攻擊：偷偷地、大規模地抽走別人的思考過程，訓練自己的平價對手。
Anthropic 用一個實驗數字說明差距。同一個基準測試（SWE-bench Verified，考 AI 寫程式改 bug）：
數字來源：Anthropic 原文。所以小偷要偷的，從來不是答案，是完整的思考。
攻擊的流程大致四步：
關鍵一招是「搬運」。Claude 有些思考段落本身有保護。攻擊者用代理網絡，把這些段落搬去另一個對話，繞過保護，再慢慢抽走。
抽走的量有幾大？你可以親手試下防線開同唔開的分別：
每一點 = 一份被收割的思考資料。紅色 = 小偷攞到手。
防線未開：小偷攞到 100 / 100 份
公司說，新防線之下，抽走的推理 token 數量跌到以前的 10 至 100 分之一。即係 100 份入面，只剩低 1 至 10 份左右。
Anthropic 今次的防線有三層。一層管去向。一層管內容。一層管帳戶。
新帳戶改唔到 Claude 之前的對話脈絡。即係搬運嗰招用唔到。受保護的思考段落，搬唔去第二個對話。
適用：Claude Fable 5.1、Opus 5.5；針對 2026 年 8 月 31 日或之後開的新 API 帳戶。
系統即時掃描來往內容。手法借用「憲法分類器」的研究，即係之前用來阻止 Claude 協助製造生化武器的同一套技術。第一段快速篩走，第二段仔細覆核。
公司稱：強度同防生化武器的防線相若；誤傷正常用戶比率低過 0.1%；已用於 Sonnet 5.5、Opus 5／5.5、Fable 5／5.1。
重複抽取的帳戶，限額收得更緊。數以萬計的帳戶被封，好多在兩小時內就封咗。被防線擋低的請求，一樣要收費，令大規模抽取變得好貴。
「被擋請求照收費」由 2026 年 9 月 24 日起實施，限於誤傷率低的防護範圍。
三層加埋，公司估計攻擊者收割到的資料跌咗 90% 至 99%。留意用字：這是 Anthropic 自己的估計，原文無公布計算的起點日期同原始數量。
這篇文章最觸目的地方，是直接開名。Anthropic 指控兩間中國 AI 實驗室做過蒸餾。兩間公司都無回應，講法亦無獨立核實。
Anthropic 指，智譜一邊開發 GLM-5.3，一邊從美國領先模型蒸餾網絡能力（cyber capabilities）。美國一個標準機構評估 GLM-5.3 是歷來最強網絡能力的開放權重模型。
Anthropic 指，Kimi 的請求曾被秘密轉發去 Claude。其中一個請求，公司相信來自一位同中國解放軍有關連的用戶，內容是要求分析某個指定人物的閉路電視監控。
點解開名咁大件事？因為這已經不只是技術問題。美國財長 Bessent 今年 7 月的講法，帶有制裁相關的定性。蒸餾由「抄功課」變成「國家安全」議題。
Anthropic 自己在文入面認了三個代價。這一點值得讚：佢無扮到防線零成本。
一、推走真金白銀的生意。封帳戶同收緊限額，會趕走一部分收入。公司形容金額「有意義」（meaningful），但無公布實際數字。
二、開發者要改程式。「保留思考」改變咗 API 的行為。用開 Claude API 的開發者，要更新自己的整合。
三、偶爾誤傷，仲要收錢。正常請求有時都會被擋。而家被擋的請求照樣收費，即係用家有機會為一個無結果的請求畀錢。
主流媒體（Reuters、Straits Times、ET）大致照直報道：九成跌幅、點名兩間公司。Anthropic 在 X 的公布帖文有約 89.3 萬次瀏覽。深入的質疑，主要來自事實核查媒體同評論者。
| 分類 | 講法 | 備註 |
|---|---|---|
| 有文件支持 | 三道防線的機制同實施日期（8 月 31 日新帳戶規則、9 月 24 日起被擋請求收費） | 原文寫明，開發者文件同行為可對照。 |
| 有文件支持 | 完整思考訓練的模型考 80.4%，撮要版只有 71.8%（SWE-bench Verified） | 原文公布的實驗數字；方法細節以原文為準。 |
| 公司自述 | 收割資料大減 90–99%；推理 token 抽取量跌至 10–100 分之一 | Anthropic 自行估計。無公布基準日期同原始數量。 |
| 公司自述 | 分類器誤傷率低過 0.1%；封鎖帳戶數以萬計 | 公司公布的數字，無第三方覆核。 |
| 有爭議 | 智譜蒸餾網絡能力；Moonshot 把 Kimi 請求轉發去 Claude | 單方面指控。兩間公司無回應，訓練來源無獨立核實。 |
| 有爭議 | 這套防線是「國家安全」需要，還是商業護城河 | 評論界兩種解讀並存，視乎你信邊個框架。 |
| 未知 | 被推走的收入實際有幾多；誤傷個案的申訴結果 | 公司只形容收入損失「有意義」，無公布數字。 |
一句收尾：AI 競賽的新戰場，不再是邊個模型最叻，而是邊個守得住自己的思考過程——但守門的人自己計分，計分表就要打個問號。
主要來源：Anthropic〈Strengthening our defenses against distillation attacks〉，2026 年 10 月 12 日，
anthropic.com/research/distillation-defenses。
社區反應整理自 2026 年 10 月 17 日研究報告所載：Reuters、Straits Times、ET 的報道；Ground Truth 同 TSN Media 的核查角度；Bret Kerr 的 Substack〈The Boundary Became the Business〉；Zerohedge 的評論；X 公布帖文約 89.3 萬瀏覽、453 回覆、約 3,750 讚好。